自定义认证提供者登录成功后，AnonymousAuthenticationFilter拦截请求的问题

这种情况我碰到过好几次，核心原因都是Spring Security没把你的自定义认证对象识别为「已认证状态」，所以AnonymousAuthenticationFilter才会跳出来补一个匿名认证。下面是一步步的排查和解决方法：

1. 确认自定义Authentication类的isAuthenticated()方法返回正确值 #

Spring Security判断一个Authentication是否有效，最关键的就是这个方法：

• 你的CustomAuthenticationRequest是待认证的请求载体，它的isAuthenticated()应该返回false（表示还没通过认证）；
• 而认证成功后返回的CustomAuthentication，必须让isAuthenticated()返回true，否则Spring会认为这个认证是无效的，AnonymousFilter就会介入。

举个正确实现的例子：

public class CustomAuthentication implements Authentication {
    private final CustomUser user;
    private final Collection<? extends GrantedAuthority> authorities;
    private boolean authenticated = true; // 认证成功后默认设为true

    // 构造方法、getter等省略

    @Override
    public boolean isAuthenticated() {
        return authenticated;
    }

    @Override
    public void setAuthenticated(boolean isAuthenticated) throws IllegalArgumentException {
        // 可以限制只能设置一次，或者直接不允许修改，避免被篡改
        this.authenticated = isAuthenticated;
    }
}

2. 检查AuthenticationProvider的返回值 #

你的CustomAuthenticationProvider的authenticate()方法，在验证凭据成功后，绝对不能返回CustomAuthenticationRequest，必须返回一个已经标记为「已认证」的CustomAuthentication对象。

错误示例（别这么做）：

// 错误！返回的还是待认证的请求对象
return new CustomAuthenticationRequest(user);

正确示例：

@Override
public Authentication authenticate(Authentication authentication) throws AuthenticationException {
    CustomAuthenticationRequest authRequest = (CustomAuthenticationRequest) authentication;
    
    // 这里写你的凭据验证逻辑：比如检查账号密码、权限等
    if (!validateCredentials(authRequest)) {
        throw new BadCredentialsException("Invalid credentials");
    }

    // 验证成功后，创建已认证的CustomAuthentication
    CustomUser user = loadUserByUsername(authRequest.getName());
    CustomAuthentication authenticatedAuth = new CustomAuthentication(user, user.getAuthorities());
    
    return authenticatedAuth;
}

3. 确保SecurityContext的设置是线程安全且生效的 #

你在控制器里设置SecurityContext的代码本身没问题，但要注意两个关键点：

• 认证成功后，SecurityContext会被存储到Session中，所以你的CustomAuthentication和CustomUser必须实现Serializable接口，否则无法被序列化到Session，后续请求加载不到认证信息，AnonymousFilter又会跑出来；
• 控制器的执行是在过滤器链之后，所以第一次请求设置完SecurityContext后，后续请求会从Session加载认证信息，不会再触发AnonymousFilter的拦截。

4. 调整过滤器链顺序（如果用自定义过滤器处理认证） #

如果你的认证逻辑不是在控制器里，而是用自定义过滤器处理，那一定要把这个过滤器放在AnonymousAuthenticationFilter之前执行。这样当过滤器完成认证并设置好SecurityContext后，AnonymousFilter就会发现已经有已认证的对象，不会再添加匿名认证了。

Java配置示例：

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        // 把你的自定义认证过滤器放在AnonymousAuthenticationFilter前面
        http.addFilterBefore(new CustomAuthProcessingFilter(authenticationManager()), 
                            AnonymousAuthenticationFilter.class)
            .authorizeRequests()
            // 其他权限配置...
            .anyRequest().authenticated();
    }
}

最后快速排查清单 #

1. 「已认证」的CustomAuthentication的isAuthenticated()是否返回true？
2. AuthenticationProvider是否返回了正确的已认证对象？
3. 自定义Authentication和User类是否实现了Serializable？
4. 认证逻辑的执行顺序是否在AnonymousAuthenticationFilter之前？

按这个顺序排查，90%的情况都能解决问题。

内容的提问来源于stack exchange，提问作者garthoid